認証ポリシーの画面の中ほどから下には、サインインの守りに関わる3つの設定があります。失敗が続いた人を一時的に止める設定、見覚えのないサイトへの貼り付けに警告を出す設定、1Password.comへの自動サインインの設定です。どれも既定のままでも1Passwordは使えますが、組織として攻撃に備えるか、社員の使い勝手を優先するかの判断が入ります。失敗の制限は、しきい値を厳しくしすぎると社員の打ち間違いで業務が止まります。このページでは、失敗の制限の設定、何が失敗に数えられるか、しきい値の決め方、フィッシングの警告の強制、自動サインインの判断、レポートとの組み合わせ方を説明します。
失敗が続いたときに一時停止する
サインイン試行の欄のサインイン試行の失敗の制限をオンにすると、決めた回数だけ続けて失敗した人は、決めた時間だけアカウントにアクセスできなくなります。時間が過ぎれば、管理者が解除しなくてもアクセスが戻ります。この欄にはベータの表示が付いています。
オンにすると、2つの選択肢が現れます。
| 設定 | 選べる値 |
|---|---|
最大サインイン試行 | 3〜10回 |
アカウントロックの時間制限 | 10分、20分、30分、60分 |
止まるのは、失敗が起きたIPアドレスからのアクセスだけです。同じ人でも、別の回線からならサインインを試せます。制限を超えて止められた人は、監査ログで確認できます。
設定は認証ポリシーの画面で切り替え、画面の下の保存を選んで確定します。
何が失敗に数えられるか
失敗として記録されるのは、アカウントパスワード、Secret Key、2要素認証のコードのいずれかが違っていたサインインです。アプリのロック解除で入力を間違えた分は、サインイン試行のレポートには出てきません。
見落としやすいのは、複数のアカウントを追加している社員です。アプリやブラウザー拡張機能で別のアカウントのパスワードを入力して間違えると、会社のアカウントへの失敗として数えられます。個人のアカウントと会社のアカウントでパスワードが違う社員ほど、この形で失敗が積み上がります。
2要素認証のコードの失敗もレポートに記録されます。スマートフォンの時刻がずれていると、正しく入力したつもりでも続けて失敗します。
しきい値の決め方
最大サインイン試行の最小の3回は、社員の打ち間違いで止まる水準です。上に挙げた複数のアカウントの打ち間違いや時刻のずれが重なると、本人に心当たりがないまま止まります。目安は次の通りです。
| 組織の状況 | 回数 | 時間 |
|---|---|---|
| 標準 | 5回 | 10分 |
| 個人のアカウントを併用する社員が多い | 7〜10回 | 10分 |
| 外部からの攻撃を強く警戒する | 5回 | 30分以上 |
時間を長くしても、攻撃者は別のIPアドレスから試し直せます。この制限は、1つの場所からの総当たりを遅らせるための仕組みです。広い範囲からの攻撃には、特定の国や匿名の経路を止めるファイアウォールのルールと、2要素認証の強制を組み合わせます。ルールはファイアウォールルールによる制限で扱います。
設定はグループごとに変えられず、全員に同じ値が効きます。ベータの機能でもあるため、有効にした後の2週間ほどは監査ログで止められた人を確かめ、打ち間違いによる停止が多ければ回数を上げてください。
フィッシングの警告を全員に出す
Phishing preventionの欄のリンクされていないウェブサイトに貼り付けたパスワードについては、常に警告を表示するをオンにすると、アイテムからコピーしたパスワードを、そのアイテムに保存していないサイトに貼り付けたときに警告が出ます。社員がブラウザー拡張機能の設定で警告を切っていても、この設定が優先されます。
自動入力は、保存したサイトでしか候補を出しません。本物に似せた偽のサイトでは候補が出ないため、社員はパスワードをコピーして貼り付けようとします。この警告は、その瞬間に止める仕組みです。オンにすることを勧めます。
正規のサイトで警告が出ることもあります。サインインの画面が別のドメインに移ったサービスや、1つのアカウントを複数のドメインで使うサービスです。警告が出たら、そのドメインが本物かを確かめたうえで、アイテムにウェブサイトとして追加するよう案内します。以後はそのサイトで自動入力できるようになり、警告も出なくなります。
1Password.comへの自動サインインを決める
Sign-inの欄の1Password.comへの自動サインインは、ブラウザー拡張機能のロックが解除されていれば、1Password.comにも自動でサインインできるようにする設定です。社員は1Password.comでパスワードを入れ直さずに済みます。
判断の分かれ目は、拡張機能が開いたままの時間です。拡張機能のロックが解除されたまま席を離れると、その間は1Password.comにも入れます。管理者の場合は管理コンソールにも入れます。オンのまま使うなら、拡張機能の自動ロックを短い時間に固定しておきます。設定はロックと自動ロックの強制で扱います。
レポートと組み合わせる
失敗の制限とファイアウォールの効き方は、レポートのサインイン試行で確かめます。過去60日分の失敗と、ルールで止めた試行が地図と時系列で並びます。疑わしい場所からの試行は、この画面からそのまま止めることもできます。読み方はサインイン試行と端末のレポートで扱います。
【注意】 失敗の制限で止められた社員は、1Passwordにサインインできない理由が分からないまま、パスワードを何度も入れ直しがちです。ヘルプデスクでは、「数分待ってから、会社のアカウントのパスワードであることを確かめて入れ直す」と案内してください。社員向けの手順書にも、時間を置けば戻ることを書いておくと、問い合わせそのものが減ります。